So funktioniert die Anmeldung

octoja unterstützt drei Anmeldemethoden: lokale Passwort-Anmeldung, OIDC / SSO und TOTP als zweiten Schritt zu beiden.

Authentifizierungsmethoden

Wichtiges Verhalten

• Ein Benutzer ohne Passwort kann die lokale Passwort-Anmeldung nicht nutzen.
• SSO meldet ein octoja-Konto an, mit dem der Anbieter bereits verknüpft ist. Die Verknüpfung entsteht, indem eine octoja-Einladung über den Anbieter angenommen wird, indem du den Anbieter selbst unter Verknüpfte Anmeldungen in deinem Profil verknüpfst oder indem ein Administrator ihn mit einem bereits bestehenden Konto verbindet. Solange sie fehlt, antwortet die Anmeldeseite mit „Diese SSO-Anmeldung ist mit keinem Konto verknüpft. Ein Administrator muss sie zuerst verbinden.“
• octoja erkennt eine Person an dem Konto, mit dem sie sich beim Anbieter anmeldet, nicht an der E-Mail-Adresse, die der Anbieter meldet. Jede Person verknüpft deshalb das Anbieterkonto, das sie dauerhaft nutzen wird.
• Dein eigenes Konto behält beim Entfernen einer Anmeldemethode einen nutzbaren Zugang: Ein Passwort lässt sich entfernen, sobald eine SSO-Anmeldung über einen eingeschalteten Anbieter verknüpft ist. Die letzte solche SSO-Anmeldung lässt sich nur trennen, wenn ein Passwort gesetzt und die Passwort-Anmeldung erlaubt ist. Bei erzwungener SSO-Anmeldung musst du zuerst einen anderen eingeschalteten Anbieter verknüpfen; Verknüpfungen mit ausgeschalteten Anbietern zählen nicht. Ein Administrator kann für ein Konto ohne Passwort ein neues festlegen.
• Bei Microsoft SSO wird bei der ersten Anmeldung jede Person gebeten, octoja den Zugriff auf Name, E-Mail-Adresse und Profil zu bestätigen. Verlangt eine Organisation eine Administratorfreigabe für Apps, gibt ein Microsoft-Entra-Administrator octoja einmalig frei; alle anderen melden sich danach ohne Rückfrage an.
• Administratoren können unter Einstellungen → Authentifizierung die Passwort-Anmeldung für alle Benutzer deaktivieren. Diese Richtlinie setzt mindestens einen konfigurierten und eingeschalteten SSO-Anbieter voraus; Konten benötigen außerdem eine Verknüpfung mit diesem Anbieter.
• Administratoren können dort außerdem TOTP für alle Benutzer erzwingen. Benutzer ohne eingerichteten Authenticator registrieren ihn vor Abschluss der nächsten Passwort- oder SSO-Anmeldung und können ihn nicht entfernen, solange die Richtlinie aktiv ist.

SSO-Anbieter ein- und ausschalten

Welche SSO-Anbieter für deine octoja-Instanz eingerichtet sind, legt der octoja-Support fest. Mitglieder einer Administratorgruppe können jeden dieser Anbieter einzeln ausschalten, etwa wenn deine Organisation nur Microsoft nutzt:

1. Öffne Einstellungen → Authentifizierung. Der Bereich SSO-Anbieter erscheint nur, wenn mindestens ein Anbieter eingerichtet ist.
2. Klicke auf die Karte eines Anbieters, um ihn aus- oder wieder einzuschalten. Eingeschaltete Anbieter tragen ein Häkchen.
3. Klicke auf Speichern.

Ein ausgeschalteter Anbieter verschwindet von der Anmeldeseite, aus Einladungen und aus dem Verknüpfen im Profil; Anmeldungen darüber werden abgelehnt. Die verknüpften Anmeldungen der Benutzer bleiben erhalten und funktionieren wieder, sobald du den Anbieter erneut einschaltest. Solange SSO-Anmeldung erzwingen aktiv ist, muss mindestens ein Anbieter eingeschaltet bleiben.

Empfohlenes Setup

TOTP wird pro Benutzer aktiviert und bietet jeder Anmeldung zusätzlichen Schutz: Wenn ein Benutzer 2FA aktiviert hat, fragt auch die Anmeldung über einen Identity Provider den Authenticator-Code ab, sodass neben lokalen Passwort-Anmeldungen auch SSO-Anmeldungen abgedeckt sind. Organisationen, die zentrale Identitätsverwaltung und passwortlose Anmeldung möchten, sind mit Microsoft oder einem anderen OIDC-Anbieter am besten beraten. Die Authentifizierung prüft nur die Identität. Was ein Benutzer anschließend sehen und tun darf, wird separat über die Gruppen gesteuert, denen er angehört — eine Gruppe vergibt Modul-Berechtigungen, den Kundenzugriff (mit welchen Kunden Mitglieder arbeiten dürfen) sowie den Gerätezugriff mit seinen Erlaubten Aktionen (welche Geräte Mitglieder erreichen und was sie darauf tun dürfen). Siehe So funktionieren Benutzer, Gruppen & Berechtigungen.

Sitzungsverwaltung

• Browserbasierte Anmeldungen verwenden ein von octoja verwaltetes Sitzungs-Cookie. Die Sitzung läuft acht Stunden und verlängert sich während der Arbeit von selbst, sodass nur ein untätiger Browser abgemeldet wird.
• API-Clients verwenden Bearer-Token, die vom Login- oder Refresh-Endpunkt zurückgegeben werden. Ein Access-Token gilt eine Stunde; das mitgelieferte Refresh-Token tauscht es gegen ein neues Paar, ohne das Passwort erneut zu senden.
• Abmelden beendet die aktuelle Browsersitzung. Ein bereits an einen API-Client ausgegebenes Bearer-Token bleibt bis zu seinem Ablauf gültig.

Siehe auch: API-Authentifizierung, Passwort zurücksetzen